Dynamic ARP Inspection

Wat is Dynamic ARP Inspection?

Dynamic ARP Inspection (DAI) is een beveiligingsfunctie in managed switches die elk ARP-bericht op een niet-vertrouwde poort controleert tegen een tabel met bekende IP-MAC-koppelingen en vervalste berichten weggooit, zodat een aanvaller via ARP-poisoning geen verkeer kan omleiden. DAI haalt die koppelingen uit de bindingstabel van DHCP Snooping of uit handmatig ingestelde ARP-toegangslijsten. Zo stopt de switch een Man-In-The-Middle-aanval op laag 2 al aan de poort, voordat de ARP-cache van een PLC, SCADA-server of Historian vervuild raakt.

🧠 Waarom heeft ARP bescherming nodig?

ARP (Address Resolution Protocol) is in 1982 vastgelegd in RFC 826 en vertaalt een IPv4-adres naar het MAC-adres van een apparaat in hetzelfde VLAN. Het protocol kent geen enkele vorm van authenticatie. Elk apparaat mag een ARP-antwoord sturen, ook zonder voorafgaande vraag (een gratuitous ARP), en de ontvanger past zijn ARP-cache meestal gewoon aan.

Dat maakt Spoofing eenvoudig:

• Verkeer omleiden - een aanvaller, bijvoorbeeld met een onbekende laptop op een vrije switchpoort, meldt dat het IP-adres van de PLC bij zijn eigen MAC-adres hoort en ontvangt voortaan het verkeer van de HMI.
• Meelezen en manipuleren - als tussenpersoon kan de aanvaller Modbus TCP-commando’s of meetwaarden onopgemerkt aanpassen of sessies overnemen.
• Storing veroorzaken - een verkeerde koppeling, ook door een foutief geconfigureerd apparaat, laat communicatie wegvallen.

In OT-netwerken weegt dat zwaar, omdat veel industriële protocollen zelf geen authenticatie of versleuteling hebben. Wie de ARP-cache beheerst, beheerst daar het gesprek.

🔧 Hoe werkt Dynamic ARP Inspection?

DAI zet u per VLAN aan. Elke switchpoort is dan trusted of untrusted; standaard zijn alle poorten untrusted. De switch onderschept ARP-pakketten die binnenkomen op untrusted poorten en laat de CPU ze controleren:

1. Binding opzoeken - de switch zoekt het IP-adres van de afzender op in de DHCP Snooping-tabel (IP, MAC, VLAN en poort).
2. Vergelijken - klopt de combinatie van IP- en MAC-adres, dan wordt het pakket doorgestuurd.
3. Weigeren en loggen - klopt die niet, dan gooit de switch het pakket weg en schrijft een logregel.

Trusted poorten, zoals uplinks naar een andere switch waarop DAI al draait, worden niet geïnspecteerd. DAI controleert alleen inkomend verkeer en beschermt dus alleen apparaten op switches waar de functie actief is.

Daarnaast bestaan optionele extra controles:

🏭 Hoe pakt u DAI aan in een OT-netwerk met vaste IP-adressen?

Het grootste praktijkprobleem in OT is dat PLC’s, remote I/O en industriële switches bijna altijd een vast IP-adres hebben. Die apparaten vragen nooit een adres via DHCP aan en staan dus niet in de DHCP Snooping-tabel. Zet u DAI dan zonder voorbereiding aan, dan blokkeert de switch hun ARP-verkeer en valt de procescommunicatie stil.

Een werkbare aanpak:

1. Inventariseer alle IP-MAC-koppelingen per VLAN, bijvoorbeeld uit uw asset-inventaris of uit een passieve opname met Wireshark.
2. Leg statische koppelingen vast in een ARP-toegangslijst (op Cisco-switches arp access-list met permit ip host … mac host …) of als statische binding. Met het sleutelwoord static gelden alleen de ACL-regels en wordt niet teruggevallen op DHCP-bindings.
3. Markeer uplinks en trunks als trusted of geef ze een ruime limiet; een trunk bundelt het ARP-verkeer van meerdere VLAN’s.
4. Begin in een testomgeving of onderhoudsvenster en controleer de logging voordat u een productiecel omzet.
5. Bewaar de DHCP Snooping-database persistent (bijvoorbeeld in flashgeheugen), anders zijn dynamische bindings na een herstart van de switch weg.
6. Stuur logregels door via Syslog naar uw SIEM of netwerkmonitoring, zodat geblokkeerde pakketten opvallen.

Elke wijziging in de adressering, zoals een vervangen PLC met een nieuw MAC-adres, vraagt daarna een aanpassing van de ACL. Neem DAI daarom op in uw wijzigingsbeheer.

📊 Welke standaardwaarden en valkuilen kent DAI?

De onderstaande waarden zijn de standaardinstellingen van Cisco Catalyst-switches; andere fabrikanten gebruiken vergelijkbare, maar niet identieke getallen.

De rate limit is bedoeld om de switch-CPU te beschermen, omdat alle ARP-controles daar plaatsvinden. Voor een OT-cel is een poort in err-disable echter net zo storend als een aanval: de aangesloten PLC is onbereikbaar tot iemand ingrijpt. Meet daarom eerst het normale ARP-volume en stel de limiet daarop af.

Andere beperkingen om rekening mee te houden:

• Alleen IPv4 - IPv6 gebruikt Neighbor Discovery in plaats van ARP; daarvoor zijn aparte functies nodig.
• Niet tussen apparaten op een onbeheerde switch - twee apparaten achter een niet-managed switch zien elkaars ARP-verkeer zonder dat DAI het ziet.
• Ondersteuning verschilt - veel managed switches voor IT en OT bieden DAI, maar niet elk industrieel model of elke firmwareversie; controleer dat per type.

🔄 Hoe verhoudt DAI zich tot andere laag 2-maatregelen?

DAI is één bouwsteen in een gelaagde verdediging op laag 2 van het OSI-model. De functies vullen elkaar aan:

Anomaliedetectie ziet een ARP-aanval vaak pas aan de gevolgen; DAI voorkomt hem aan de poort. In IEC 62443-termen helpt DAI de integriteit van communicatie binnen een zone te bewaken, terwijl netwerksegmentatie en firewalls het verkeer tussen zones regelen.

❓ Veelgestelde vragen

Werkt Dynamic ARP Inspection zonder DHCP?

Ja, Dynamic ARP Inspection werkt ook zonder DHCP, maar dan moet u alle IP-MAC-koppelingen zelf vastleggen in ARP-toegangslijsten of statische bindings. In OT-netwerken met vaste adressen is dat de gebruikelijke situatie. Zonder die lijsten blokkeert DAI het ARP-verkeer van statisch geadresseerde apparaten.

Wat is het verschil tussen DAI en IP Source Guard?

Dynamic ARP Inspection controleert alleen ARP-berichten, terwijl IP Source Guard het bron-IP-adres van gewone IP-pakketten controleert. Beide functies gebruiken dezelfde DHCP Snooping-bindingstabel. Samen voorkomen ze zowel ARP-poisoning als IP-spoofing vanaf een switchpoort.

Kan DAI een PLC onbereikbaar maken?

Ja, een verkeerd ingestelde Dynamic ARP Inspection kan een PLC onbereikbaar maken. Dat gebeurt als de PLC niet in een binding of ARP-ACL staat, of als de poort door een ARP-piek boven de rate limit uitkomt en in err-disable gaat. Test DAI daarom eerst en stem limieten af op gemeten verkeer.

Moet DAI op elke switchpoort aan?

Dynamic ARP Inspection wordt per VLAN aangezet en controleert vervolgens alle untrusted poorten in dat VLAN. Poorten naar eindapparaten blijven untrusted, terwijl uplinks naar andere switches met DAI meestal trusted worden. Zo wordt elk ARP-pakket één keer gecontroleerd, aan de rand van het netwerk.

Beschermt DAI ook tegen aanvallen op IPv6?

Nee, Dynamic ARP Inspection beschermt alleen IPv4, omdat IPv6 geen ARP gebruikt maar Neighbor Discovery. Voor IPv6 zijn aparte switchfuncties nodig, zoals inspectie van Neighbor Discovery en bescherming tegen valse router advertisements. Ook als u IPv6 niet gebruikt, staat het op de meeste besturingssystemen standaard aan; controleer dat daarom expliciet.

Is DAI voldoende tegen man-in-the-middle-aanvallen?

Nee, Dynamic ARP Inspection stopt alleen ARP-poisoning op switches waar het actief is. Een aanvaller kan nog via andere routes tussen systemen komen, bijvoorbeeld via een gecompromitteerde server of een onbeheerde switch. Combineer DAI daarom met segmentatie, toegangscontrole en monitoring.

📌 Samengevat

Dynamic ARP Inspection laat een managed switch elk ARP-bericht op een untrusted poort controleren tegen bekende IP-MAC-koppelingen uit DHCP Snooping of ARP-toegangslijsten. In OT vraagt dat extra voorbereiding, omdat de meeste apparaten vaste adressen hebben en een te krappe rate limit poorten kan uitschakelen. Goed ingericht, samen met Port Security, IP Source Guard en segmentatie, sluit DAI een van de eenvoudigste aanvalsroutes in industriële netwerken.

Dynamic ARP Inspection stopt ARP-poisoning aan de switchpoort, maar werkt in OT alleen veilig met statische koppelingen voor vast geadresseerde apparaten en goed afgestelde limieten.